Bandit: Speicher- und CPU-Erschöpfung durch viele 1-Byte-Chunks im Request-Body

Zusammenfassung

Bandit, ein HTTP-Server für Elixir und Erlang, begrenzt die Anzahl der Chunks in einem HTTP/1.1-Request-Body mit Chunked Transfer Encoding nicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen Body aus vielen 1-Byte-Chunks senden, wodurch der Server ein Vielfaches der Body-Grösse im Speicher hält und beim Zusammenfügen der Chunks viel CPU verbraucht. Betroffen ist jeder Bandit-Server, der HTTP/1.1 akzeptiert, auch wenn die Anwendung den Body nie liest; dies kann zu einer Denial-of-Service-Situation führen.

Betroffen

• Bandit ab 0.1.0 vor 1.14.0 (Hex-Paket bandit)
• Git-Bereich 7201270c34b90f6c9e15c0386c2bb802c0c72ab4 bis vor 220b9dfd27f9a21305be2afc75cbe585ddc24e7a

Behoben in

• Bandit 1.14.0 (Fix-Commit 220b9dfd27f9a21305be2afc75cbe585ddc24e7a)

Umgehung

• Wenn alle Clients und Proxys HTTP/2 sprechen, HTTP/1 mit http_1_options: [enabled: false] deaktivieren (erfordert Bandit 0.7.0 oder neuer). Der verwundbare Chunked-Body-Reader wird dann nicht ausgeführt.
• Keine weitere Massnahme ist vom Hersteller bestätigt.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine bekannt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Öffentliche Proof-of-Concept-Details sind im Advisory beschrieben; ob darüber hinaus öffentlicher Exploit-Code existiert, ist unbekannt.
• Status im CISA KEV: unbekannt.

Unsere Empfehlung

• Alle Elixir-/Phoenix-Projekte mit bandit in mix.lock inventarisieren, insbesondere öffentlich erreichbare Dienste.
• Auf Bandit 1.14.0 oder neuer aktualisieren und das Hex-Audit erneut ausführen. Bandit 1.13.x ist betroffen.
• Das Update behebt auch weitere am 26.10.2026 mit 1.14.0 veröffentlichte Bandit-Advisories.
• Falls kein Update möglich ist, den HTTP/2-only-Workaround anwenden, sofern zutreffend, und die Request-Body-Grösse an einem Reverse Proxy begrenzen.
• Speicher- und CPU-Auslastung der Bandit-Dienste auf ungewöhnliche Spitzen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Program / EEF record cna.erlef.org
• GitHub Security Advisory GHSA-jwh3-j29h-qfmw github.com
• Fix commit 220b9df (Version bump to 1.14.0) github.com
• Introducing commit 7201270 github.com
• OSV record EEF-CVE-2026-111101 osv.dev
• Ubuntu CVE tracker ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:12.